दूरस्थ पहुँच

• ऑपरेटर (आप या macOS ऐप): Gateway पहुँच योग्य होने पर प्रत्यक्ष LAN/Tailnet WebSocket सबसे सरल है; SSH टनलिंग सार्वभौमिक वैकल्पिक उपाय है।
• Nodes (iOS/Android और अन्य डिवाइस): Gateway WebSocket (LAN/tailnet या SSH टनल) से कनेक्ट होते हैं।

​

मूल अवधारणा

​

टोपोलॉजी विकल्प

​

कमांड प्रवाह (क्या कहाँ चलता है)

1. Telegram संदेश Gateway पर आता है।
2. Gateway एजेंट चलाता है, जो तय करता है कि किसी Node टूल को कॉल करना है या नहीं।
3. Gateway, Gateway WebSocket (node.invoke RPC) पर Node को कॉल करता है।
4. Node परिणाम लौटाता है; Gateway Telegram को उत्तर देता है।

​

SSH टनल (CLI + टूल)

ssh -N -L 18789:127.0.0.1:18789 user@gateway-host

​

CLI रिमोट डिफ़ॉल्ट

{
  gateway: {
    mode: "remote",
    remote: {
      url: "ws://127.0.0.1:18789",
      token: "your-token",
    },
  },
}

{
  gateway: {
    mode: "remote",
    remote: {
      transport: "direct",
      url: "ws://192.168.0.202:18789",
      token: "your-token",
    },
  },
}

​

क्रेडेंशियल प्राथमिकता

• स्पष्ट क्रेडेंशियल (--token, --password, या किसी टूल का gatewayToken) उन कॉल पथों पर हमेशा प्राथमिकता लेते हैं जो स्पष्ट प्रमाणीकरण स्वीकार करते हैं।
• URL ओवरराइड सुरक्षा:
  • CLI --url कभी भी निहित कॉन्फ़िगरेशन/परिवेश क्रेडेंशियल का पुनः उपयोग नहीं करता।
  • परिवेश OPENCLAW_GATEWAY_URL केवल परिवेश क्रेडेंशियल (OPENCLAW_GATEWAY_TOKEN / OPENCLAW_GATEWAY_PASSWORD) का उपयोग कर सकता है।
• स्थानीय मोड डिफ़ॉल्ट:
  • टोकन: OPENCLAW_GATEWAY_TOKEN -> gateway.auth.token -> gateway.remote.token (रिमोट वैकल्पिक उपाय केवल तभी जब स्थानीय टोकन सेट न हो)
  • पासवर्ड: OPENCLAW_GATEWAY_PASSWORD -> gateway.auth.password -> gateway.remote.password (रिमोट वैकल्पिक उपाय केवल तभी जब स्थानीय पासवर्ड सेट न हो)
• रिमोट मोड डिफ़ॉल्ट:
  • टोकन: gateway.remote.token -> OPENCLAW_GATEWAY_TOKEN -> gateway.auth.token
  • पासवर्ड: OPENCLAW_GATEWAY_PASSWORD -> gateway.remote.password -> gateway.auth.password
• Node-host स्थानीय-मोड अपवाद: gateway.remote.token / gateway.remote.password को अनदेखा किया जाता है।
• रिमोट प्रोब/स्थिति टोकन जाँच डिफ़ॉल्ट रूप से सख्त होती हैं: रिमोट मोड को लक्षित करते समय वे केवल gateway.remote.token का उपयोग करती हैं (कोई स्थानीय टोकन वैकल्पिक उपाय नहीं)।
• Gateway परिवेश ओवरराइड केवल OPENCLAW_GATEWAY_* का उपयोग करते हैं।

​

चैट UI रिमोट एक्सेस

• 18789 को SSH पर फ़ॉरवर्ड करें (ऊपर देखें), फिर क्लाइंटों को ws://127.0.0.1:18789 से कनेक्ट करें।
• LAN/Tailnet प्रत्यक्ष मोड के लिए, क्लाइंटों को कॉन्फ़िगर किए गए निजी ws:// या सुरक्षित wss:// URL से कनेक्ट करें।
• macOS पर, ऐप का रिमोट मोड चुने गए ट्रांसपोर्ट को स्वचालित रूप से प्रबंधित करता है।

​

macOS ऐप रिमोट मोड

​

सुरक्षा नियम (रिमोट/VPN)

• लूपबैक + SSH/Tailscale Serve सबसे सुरक्षित डिफ़ॉल्ट है (कोई सार्वजनिक एक्सपोज़र नहीं)।
• प्लेनटेक्स्ट ws:// लूपबैक, निजी/LAN (RFC 1918), लिंक-लोकल, CGNAT, .local, और .ts.net होस्ट के लिए स्वीकार किया जाता है। सार्वजनिक रिमोट होस्ट को wss:// का उपयोग करना आवश्यक है।
• गैर-लूपबैक बाइंड (lan/tailnet/custom, या लूपबैक अनुपलब्ध होने पर auto) को Gateway प्रमाणीकरण का उपयोग करना आवश्यक है: टोकन, पासवर्ड, या gateway.auth.mode: "trusted-proxy" वाला पहचान-सजग रिवर्स प्रॉक्सी।
• gateway.remote.token / .password क्लाइंट क्रेडेंशियल स्रोत हैं; वे स्वयं सर्वर प्रमाणीकरण कॉन्फ़िगर नहीं करते।
• स्थानीय कॉल पथ gateway.remote.* का उपयोग केवल तभी वैकल्पिक उपाय के रूप में कर सकते हैं जब gateway.auth.* सेट न हो।
• यदि gateway.auth.token / gateway.auth.password को SecretRef के माध्यम से स्पष्ट रूप से कॉन्फ़िगर किया गया है और उसका रिज़ॉल्यूशन नहीं होता, तो रिज़ॉल्यूशन बंद अवस्था में विफल होता है (रिमोट वैकल्पिक उपाय से त्रुटि नहीं छिपती)।
• gateway.remote.tlsFingerprint, wss:// के लिए रिमोट TLS प्रमाणपत्र को पिन करता है, जिसमें ऑपरेटर/कंट्रोल ट्रैफ़िक और macOS प्रत्यक्ष मोड का सहायक Node, दोनों शामिल हैं। संग्रहीत पिन के बिना, macOS सामान्य सिस्टम ट्रस्ट सफल होने के बाद ही पहले उपयोग पर पिन करता है; स्व-हस्ताक्षरित या निजी-CA Gateway के लिए स्पष्ट फ़िंगरप्रिंट या SSH के माध्यम से रिमोट आवश्यक है।
• जब gateway.auth.allowTailscale: true हो, तब Tailscale Serve पहचान हेडर के माध्यम से Control UI/WebSocket ट्रैफ़िक को प्रमाणित कर सकता है। HTTP API एंडपॉइंट उस हेडर प्रमाणीकरण का उपयोग नहीं करते और इसके बजाय Gateway के सामान्य HTTP प्रमाणीकरण मोड का पालन करते हैं। यह टोकन-रहित प्रवाह मानता है कि Gateway होस्ट विश्वसनीय है; हर जगह साझा-सीक्रेट प्रमाणीकरण के लिए इसे false पर सेट करें।
• विश्वसनीय-प्रॉक्सी प्रमाणीकरण डिफ़ॉल्ट रूप से किसी गैर-लूपबैक पहचान-सजग प्रॉक्सी की अपेक्षा करता है। उसी होस्ट के लूपबैक रिवर्स प्रॉक्सी के लिए स्पष्ट gateway.auth.trustedProxy.allowLoopback = true आवश्यक है।
• ब्राउज़र नियंत्रण को ऑपरेटर एक्सेस की तरह मानें: केवल tailnet और सोच-समझकर किया गया Node पेयरिंग।

​

macOS: LaunchAgent के माध्यम से स्थायी SSH टनल

​

चरण 1: SSH कॉन्फ़िगरेशन जोड़ें

Host remote-gateway
    HostName <REMOTE_IP>
    User <REMOTE_USER>
    LocalForward 18789 127.0.0.1:18789
    IdentityFile ~/.ssh/id_rsa

​

चरण 2: SSH कुंजी कॉपी करें (एक बार)

ssh-copy-id -i ~/.ssh/id_rsa <REMOTE_USER>@<REMOTE_IP>

​

चरण 3: Gateway टोकन कॉन्फ़िगर करें

openclaw config set gateway.remote.token "<your-token>"

​

चरण 4: LaunchAgent बनाएँ

<?xml version="1.0" encoding="UTF-8"?>
<!DOCTYPE plist PUBLIC "-//Apple//DTD PLIST 1.0//EN" "http://www.apple.com/DTDs/PropertyList-1.0.dtd">
<plist version="1.0">
<dict>
    <key>Label</key>
    <string>ai.openclaw.ssh-tunnel</string>
    <key>ProgramArguments</key>
    <array>
        <string>/usr/bin/ssh</string>
        <string>-N</string>
        <string>remote-gateway</string>
    </array>
    <key>KeepAlive</key>
    <true/>
    <key>RunAtLoad</key>
    <true/>
</dict>
</plist>

​

चरण 5: LaunchAgent लोड करें

launchctl bootstrap gui/$UID ~/Library/LaunchAgents/ai.openclaw.ssh-tunnel.plist

​

समस्या निवारण

# जाँचें कि टनल चल रही है या नहीं
ps aux | grep "ssh -N remote-gateway" | grep -v grep
lsof -i :18789

# टनल पुनः शुरू करें
launchctl kickstart -k gui/$UID/ai.openclaw.ssh-tunnel

# टनल रोकें
launchctl bootout gui/$UID/ai.openclaw.ssh-tunnel

​

संबंधित

• Tailscale
• प्रमाणीकरण
• रिमोट Gateway सेटअप